Resposta rápida

A ISO/IEC 27701:2025 deixou de ser extensão da ISO 27001 e passou a ser sistema de gestão independente — a certificação não exige mais o SGSI certificado antes, o que destrava startups, clínicas e escritórios. As cláusulas 4 a 10 tornaram-se requisitos mandatórios, as definições foram consolidadas na cláusula 3 e mudanças climáticas entraram no contexto. A cláusula 6.1 exige avaliação de risco de privacidade dedicada, com foco nos direitos e liberdades dos titulares, não só no ativo de informação. O Anexo A foi reorganizado em três tabelas: 30 controles para controladores, 18 para operadores e 29 extraídos da ISO 27002 como mínimo de segurança. Transição de cerca de três anos, até 2028.

A ISO/IEC 27701 deixou de ser um apêndice da segurança da informação. Publicada em outubro de 2025, a nova edição transforma a gestão de privacidade em sistema de gestão independente — e, com isso, derruba a barreira que travava a certificação de muitas empresas: não é mais obrigatório ter a ISO 27001 certificada antes.

Neste artigo, o consultor Carlos Eduardo Moura, que atua com ISO 9001, 27001, 27701, 37001 e 37301 na Templum, apresenta o panorama da atualização e o que precisa ser revisitado em quem já é certificado.

O ponto de virada: fim da dependência obrigatória da ISO 27001

Na versão de 2019, a 27701 nasceu como extensão das normas de segurança — para certificar o sistema de gestão de privacidade, era necessário ter o SGSI da ISO 27001 já certificado ou em processo. A versão 2025 remove essa exigência: o escopo foi revisado para que o sistema de gestão de privacidade seja autônomo.

O impacto de mercado é grande, sobretudo para startups, clínicas de saúde e escritórios que lidam com dados sensíveis mas não tinham fôlego para implementar toda a robustez de um SGSI completo. Continua sendo muito recomendável ter a ISO 27001 — só não é mais pré-requisito.

Na prática documental, as referências normativas obrigatórias à ISO 27001 e à ISO 27002 saíram do texto principal, e as definições que antes exigiam consulta a outros documentos foram consolidadas na cláusula 3 da própria norma.

As cláusulas 4 a 10 agora são requisitos, não notas explicativas

Como a 27701 passou a ser um sistema de gestão completo, as cláusulas de 4 a 10 deixaram de funcionar como notas de extensão da 27001 e se tornaram requisitos mandatórios e integrais, seguindo a estrutura de alto nível (HLS) comum às normas ISO.

Duas mudanças no planejamento merecem atenção especial:

Mudanças climáticas no contexto — sim, também aqui

Pode soar estranho em uma norma de privacidade, mas a ISO passou a exigir que a organização determine se as mudanças climáticas são questão relevante para o seu contexto. Na 27701:2025 isso ganhou direcionamento específico: a pergunta é se o tema afeta a resiliência do tratamento de dados.

Para quem já tratou o assunto de forma genérica em outro sistema de gestão, é hora de revisitar o escopo e as perguntas que definem contexto interno e externo, agora com a lente da privacidade.

Avaliação de risco de privacidade dedicada (cláusula 6.1)

Não se aceita mais avaliação de risco genérica. A norma exige uma avaliação dedicada à privacidade, que considere as consequências não apenas para o negócio, mas para os direitos e liberdades dos titulares.

É uma mudança de eixo: sai a proteção do ativo de informação, entra a proteção do indivíduo titular. Consequência prática: o mapeamento de dados e o relatório de impacto à proteção de dados pessoais (RIPD/DPIA) precisam ser revisitados sob essa nova ótica — de um sistema mais introspectivo para um sistema voltado para fora.

O Anexo A foi reorganizado em três tabelas

Quem trabalha com auditoria e consultoria na 27701 conhece a antiga lista longa, com controles de 27001 e 27701 misturados. A nova estrutura separa em três blocos bem definidos:

  • Tabela A1 — controladores: 30 controles. Para quem decide sobre o uso dos dados e atende diretamente aos direitos dos titulares: acesso, retificação, revogação, exclusão. Mantidos, mas reformulados.
  • Tabela A2 — operadores: 18 controles. Específicos para quem trata dados em nome de terceiros, garantindo que as instruções sejam seguidas à risca.
  • Tabela A3 — 29 controles extraídos da ISO 27002. É a grande novidade prática: o mínimo viável de segurança para sustentar a privacidade.

A tabela A3 é o reconhecimento explícito de que não existe privacidade sem segurança. Mesmo em um sistema independente, é preciso aplicar controles técnicos — criptografia, backup, gestão de logs e desenvolvimento seguro de software. A diferença é a ótica: proteger o dado pessoal, não apenas o servidor da empresa.

Governança e accountability saíram do papel

A prestação de contas permeia todo o documento, e o recado é direto: não basta ter política arquivada. A alta direção precisa estar envolvida na análise crítica, na destinação de orçamento e na construção de uma cultura de privacidade.

Some-se a isso uma ênfase mais vigorosa em gestão de terceiros: due diligence e monitoramento contínuo de operadores e suboperadores, para que a cadeia de suprimentos sustente o mesmo padrão de privacidade. Na prática, significa revisitar critérios de aprovação de fornecedores e cláusulas contratuais de subcontratação — deixando de tratar privacidade de forma genérica.

E a inteligência artificial?

Aqui há uma sutileza que evita mal-entendidos: a norma não usa o termo "inteligência artificial". A preocupação é endereçada pelo controle de decisão automatizada e perfilamento.

Empresas que usam algoritmos para perfilar clientes ou tomar decisões — de crédito, por exemplo — precisam garantir mecanismos claros de oposição e de revisão humana. É a ponte natural com a ISO/IEC 42001, a norma de gestão de inteligência artificial, e com o que os reguladores já vêm exigindo em termos de ética algorítmica.

Prazo de transição: até 2028

Para quem já tem a certificação na versão 2019, o período de transição projetado é de cerca de três anos, ou seja, até 2028. Os organismos certificadores atualizaram seus critérios de competência técnica para auditar a nova versão, e a norma já foi traduzida para o português.

Prazo generoso não é motivo para deixar para depois. A recomendação para quem já está certificado e já tratou as não conformidades da auditoria:

  1. Começar o mapeamento dos processos sob a nova estrutura
  2. Eliminar controles redundantes o quanto antes
  3. Rodar um gap analysis contra a versão 2025 para identificar lacunas
  4. Revisar os riscos de privacidade com o foco nos direitos dos titulares
  5. Revisar a documentação antes da próxima auditoria

Quem já implementou a ISO 27001 tem trabalho bastante facilitado, justamente porque boa parte dos controles da nova tabela A3 vem da ISO 27002 e já está no ar.

Por que a atualização pode destravar sua certificação

Há um perfil de empresa que recuava diante da 27701 por não querer expandir toda a estrutura de segurança da informação primeiro. Com a independência, o caminho fica mais curto e mais barato: menos custo de compliance, mais clareza sobre o que é segurança e o que é privacidade, e mais transparência perante clientes e autoridades reguladoras.

Isso ganha peso no cenário brasileiro, em que todo tratamento de dados precisa de base legal definida. A nova versão simplifica a implementação e separa com nitidez as duas disciplinas — pode ser exatamente a hora de retomar o projeto.

Assista ao treinamento técnico completo

Este artigo cobre o panorama geral apresentado na primeira parte do treinamento técnico gratuito conduzido por Carlos Eduardo Moura:

Leia mais

Perguntas frequentes

Ainda é obrigatório ter a ISO 27001 para certificar a ISO 27701?
Não. Na versão de 2019 era necessário ter o SGSI da ISO 27001 certificado ou em processo. A versão 2025 removeu essa dependência: o sistema de gestão de privacidade passou a ser autônomo. Ter a ISO 27001 continua sendo muito recomendável, mas deixou de ser pré-requisito — o que reduz custo e prazo para startups, clínicas de saúde e escritórios que tratam dados sensíveis.
Qual é o prazo de transição para a ISO 27701:2025?
Cerca de três anos a partir da publicação, ocorrida em outubro de 2025 — ou seja, até 2028. Quem já é certificado na versão 2019 tem tempo, mas a recomendação é antecipar: mapear os processos na nova estrutura, eliminar controles redundantes, rodar um gap analysis e revisar riscos e documentação antes da próxima auditoria.
Como ficou o Anexo A da ISO 27701:2025?
Foi reorganizado em três tabelas: A1, com 30 controles para controladores (quem decide sobre o uso dos dados e atende aos direitos dos titulares); A2, com 18 controles para operadores (quem trata dados em nome de terceiros); e A3, com 29 controles extraídos da ISO 27002, considerados o mínimo de segurança necessário para sustentar a privacidade, como criptografia, backup, gestão de logs e desenvolvimento seguro.
O que mudou na avaliação de risco da nova versão?
A cláusula 6.1 passou a exigir avaliação de risco de privacidade dedicada, não mais genérica, considerando as consequências para os direitos e liberdades dos titulares de dados. O eixo saiu da proteção do ativo de informação e passou para a proteção do indivíduo — o que obriga a revisitar o mapeamento de dados e o relatório de impacto à proteção de dados pessoais (RIPD).
A ISO 27701:2025 trata de inteligência artificial?
A norma não usa o termo inteligência artificial. A preocupação é endereçada pelo controle de decisão automatizada e perfilamento: empresas que usam algoritmos para perfilar clientes ou tomar decisões, como análise de crédito, precisam garantir mecanismos claros de oposição e de revisão humana. É a ponte natural com a ISO/IEC 42001, norma de gestão de inteligência artificial.
Mudanças climáticas entraram na norma de privacidade?
Sim. A ISO passou a exigir que a organização determine se as mudanças climáticas são uma questão relevante para o seu contexto, e na 27701:2025 isso tem direcionamento específico: avaliar se o tema afeta a resiliência do tratamento de dados. Quem tratou o assunto de forma genérica em outro sistema de gestão precisa revisitar o escopo pela lente da privacidade.

Pronto para certificar sua empresa?

Fale com um especialista da Templum e receba um diagnóstico gratuito — com garantia de 200%.

Falar com um especialista